콘텐츠로 건너뛰기

Cloud souverain en France : guide pour DSI et décideurs

Découvrez comment choisir un cloud souverain en France avec notre guide. Exigez des preuves d'hébergement et une réversibilité adaptée.

Cloud souverain en France : guide pour DSI et décideurs

Un responsable informatique consulte des dossiers hébergés sur un cloud souverain.

Un cloud souverain en France repose sur trois piliers non négociables : hébergement physique sur le territoire français, contrôle juridique excluant toute extraterritorialité étrangère, et réversibilité contractuelle garantissant la reprise complète de vos données. Si vous lancez un appel d’offres aujourd’hui, voici ce qu’il faut exiger dès la première réunion :

  • Preuves d’hébergement : localisation des datacenters et des équipes d’exploitation en France, attestée par audit indépendant.
  • Qualification ou label reconnu : SecNumCloud (référentiel ANSSI), certification ISO 27001, ou agrément HDS pour les données de santé.
  • Réversibilité contractuelle : clause décrivant le format d’export, les délais, les responsabilités et les pénalités en cas d’obstruction.
  • Gestion des clés de chiffrement : clés détenues par le client, pas par le fournisseur.

Ces quatre points filtrent la majorité des offres qui se disent « souveraines » sans l’être réellement.

Table des matières

Pourquoi la souveraineté cloud est devenue une priorité pour les organisations françaises

La prise de conscience n’est pas venue d’un seul événement. Elle s’est construite sur une accumulation de risques juridiques que les DSI ne peuvent plus ignorer.

Le Cloud Act et l’extraterritorialité américaine

Le Cloud Act, adopté aux États-Unis en 2018, autorise les autorités américaines à exiger l’accès aux données stockées par des entreprises américaines, quel que soit le pays d’hébergement physique. Autrement dit, un serveur situé à Paris mais opéré par une filiale d’un groupe américain reste juridiquement exposé. Le Foreign Intelligence Surveillance Act (FISA) ajoute une couche supplémentaire : il permet une surveillance secrète sans notification à l’entreprise concernée ni à ses clients. Pour une organisation française traitant des données sensibles, clients, patients ou secrets industriels, cette exposition est un risque métier concret, pas une hypothèse théorique.

Les analyses sectorielles sur les risques du cloud américain montrent que la réponse passe par deux garanties cumulatives : localisation des données et localisation des équipes d’exploitation, sans lien capitalistique ou juridique avec une entité soumise à une loi extraterritoriale.

Infographie présentant les grandes étapes du développement du cloud souverain en France

Le rôle de l’ANSSI et du référentiel SecNumCloud

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a structuré la réponse française avec le référentiel SecNumCloud. Ce cadre repose sur près de 300 exigences et environ 1 000 points de contrôle, couvrant trois dimensions : sécurité technique, excellence organisationnelle et conformité juridique. Un fournisseur qualifié SecNumCloud a donc subi un audit continu, pas une simple déclaration sur l’honneur.

La doctrine française a également évolué vers la notion de « cloud de confiance » : la simple localisation physique ne suffit plus. Réversibilité, transparence opérationnelle et immunité juridique sont désormais les critères centraux. Cette évolution sémantique est importante : un fournisseur qui parle uniquement de « datacenter en France » sans aborder la gouvernance juridique et la réversibilité n’est pas aligné avec la doctrine actuelle.

Le marché français du cloud souverain voit émerger plusieurs acteurs qualifiés ou en cours de qualification SecNumCloud, signe que la demande institutionnelle et privée s’accélère.

La stratégie cloud de l’État distingue explicitement les données non sensibles, les données sensibles et les données très sensibles, chacune appelant un niveau de qualification différent. Pour les opérateurs d’importance vitale (OIV) et les administrations, SecNumCloud est la référence minimale attendue.

Quels modèles techniques existent en France et lequel vous convient ?

Le terme « cloud souverain » recouvre des architectures très différentes. Choisir le mauvais modèle, c’est payer pour des garanties dont vous n’avez pas besoin, ou manquer celles qui sont obligatoires dans votre secteur.

Technicienne en supervision de serveurs au sein d’un datacenter

Les quatre architectures disponibles

IaaS public qualifié : infrastructure mutualisée opérée par un acteur français qualifié SecNumCloud. Vous louez des ressources de calcul et de stockage, mais partagez l’infrastructure physique avec d’autres clients. Adapté aux charges variables et aux projets nécessitant une montée en puissance rapide.

PaaS souverain : plateforme managée (bases de données, conteneurs, orchestration) hébergée en France. Réduit la charge opérationnelle, mais introduit une dépendance aux API propriétaires du fournisseur. À évaluer avec soin sur la réversibilité.

Cloud privé managé : infrastructure dédiée, opérée pour vous par un prestataire français. Vous bénéficiez d’un contrôle total sur la localisation, les protocoles de chiffrement et la traçabilité, sans gérer l’infrastructure vous-même. Modèle privilégié par les secteurs régulés : santé, finance, défense.

Hébergement dédié / colocation : vos propres serveurs physiques, hébergés dans un datacenter français. Contrôle maximal, mais charge opérationnelle élevée et investissement initial important.

Tableau de correspondance modèle / cas d’usage

Modèle Cas d’usage typique Niveau de contrôle Scalabilité Coût relatif
IaaS public qualifié Services web, R&D, développement Moyen Élevée Modéré
PaaS souverain Applications métier, CI/CD Moyen Élevée Modéré à élevé
Cloud privé managé Santé (HDS), finance, OIV, données sensibles Élevé Limitée Élevé
Hébergement dédié Données très sensibles, conformité maximale Maximal Faible Très élevé
Serveur privé managé PME, indépendants, équipes projet Élevé Modérée Accessible

La différence entre cloud public et cloud privé tient autant à la gouvernance et au modèle d’exploitation qu’à la localisation physique. Un DSI qui raisonne uniquement en termes de géographie des datacenters rate la moitié du sujet.

Comment choisir un fournisseur souverain : checklist pour votre appel d’offres

Un RFP bien construit élimine les faux souverains dès la phase de qualification. Voici les questions à poser, dans l’ordre.

Vérifications préalables obligatoires

  1. Qualification et certifications : le fournisseur détient-il SecNumCloud, ISO 27001, HDS (pour les données de santé) ? Demandez les certificats en cours de validité, pas les déclarations d’intention.
  2. Localisation des datacenters : adresses précises des sites d’hébergement primaire et secondaire, toutes en France.
  3. Localisation des équipes d’exploitation : où se trouvent les administrateurs systèmes ? Sous quelle juridiction sont-ils habilités ? Un datacenter français opéré depuis l’étranger n’offre pas d’immunité juridique.
  4. Structure capitalistique : le fournisseur a-t-il des liens avec une entité soumise au Cloud Act ou au FISA ? Une filiale d’un groupe américain reste exposée, même avec des serveurs en France.
  5. Politique de sous-traitance : toute sous-traitance doit être notifiée et approuvée. Une clause de sous-traitance sans notification préalable est un signal d’alerte.

Questions techniques sur le chiffrement et la réversibilité

  • Le chiffrement est-il appliqué en transit (TLS 1.2 minimum) et au repos (AES-256 ou équivalent) ?
  • Les clés de chiffrement sont-elles gérées par le client (BYOK, « Bring Your Own Key ») ou par le fournisseur ?
  • Quelle est la procédure d’export des données ? Format standardisé (CSV, SQL, formats ouverts), délai garanti, assistance incluse ?
  • Existe-t-il un SLA d’export avec pénalités contractuelles en cas de non-respect ?

Conseil de pro : Demandez une démonstration live de la procédure d’export avant de signer. Un fournisseur qui ne peut pas vous montrer comment récupérer vos données en moins d’une heure de réunion n’a probablement pas de procédure mature.

Signaux d’alerte à ne pas ignorer

  • Accès d’administration depuis des équipes hors de France sans procédure de contrôle documentée.
  • Absence de rapport d’audit tiers récent (moins de 12 mois).
  • Clauses contractuelles permettant la modification unilatérale des conditions de traitement des données.
  • Aucune procédure d’export documentée ou format d’export propriétaire sans équivalent ouvert.

Le processus décisionnel doit aussi intégrer le coût total de possession (TCO) et la criticité métier : toutes les données ne méritent pas le même niveau de protection, et surprotéger des données non sensibles mobilise des budgets qui manquent ailleurs.

Quels coûts et délais prévoir pour adopter un cloud souverain ?

Migrer vers une infrastructure souveraine n’est pas un projet de quelques semaines. Les organisations qui sous-estiment la phase de préparation sont celles qui rencontrent les dépassements budgétaires les plus importants.

Principales lignes de coût à budgéter

  1. Diagnostic et cartographie : inventaire des données, classification par criticité, identification des dépendances applicatives. La phase peut durer plusieurs semaines selon la taille du système d’information.
  2. Réingénierie applicative : certaines applications conçues pour un cloud public spécifique nécessitent des adaptations pour fonctionner sur une infrastructure souveraine. C’est souvent le poste le plus sous-estimé.
  3. Migration des données : transfert, validation d’intégrité, tests de cohérence. La bande passante et le stockage chiffré pendant la phase de migration sont des coûts directs à anticiper.
  4. Licences et abonnements : les offres souveraines sont généralement plus chères que les offres hyperscaler grand public. L’écart se justifie par les garanties juridiques et les audits, mais il doit figurer dans le business case.
  5. Audits et conformité : si votre secteur impose HDS ou SecNumCloud, prévoyez le coût des audits tiers et de la documentation associée.
  6. Assistance à la réversibilité : souvent oubliée, cette ligne couvre le support pour exporter et restaurer les données en fin de contrat.

Calendrier typique d’un projet de migration

Phase Durée estimée Livrable clé
Diagnostic et cartographie plusieurs semaines Inventaire des données et plan de migration
Preuve de concept (POC) plusieurs semaines Validation technique sur workloads pilotes
Migration pilote plusieurs semaines Migration des workloads non critiques
Bascule des workloads critiques plusieurs semaines Migration complète avec tests de régression
Validation et contractualisation quelques semaines SLA signés, clause de réversibilité activée

La planification en phases réduit les risques opérationnels : commencer par un POC sur des workloads non critiques permet de valider les choix techniques avant d’engager les données sensibles. Ne basculez jamais un système de production critique sans avoir validé la procédure d’export sur l’environnement pilote.

Réversibilité, chiffrement et preuves d’hébergement : ce que vos contrats doivent garantir

La souveraineté se prouve dans les contrats, pas dans les plaquettes commerciales. Voici les clauses et exigences techniques à insérer systématiquement.

Clauses contractuelles à exiger

  • SLA d’export : délai maximal garanti pour la mise à disposition de l’intégralité des données (72 heures est un seuil raisonnable pour des volumes courants).
  • Format d’export standardisé : formats ouverts et documentés (CSV, JSON, SQL dump, OVF pour les machines virtuelles). Refusez tout format propriétaire sans équivalent ouvert.
  • Assistance à la migration : nombre d’heures de support incluses, conditions d’escalade, responsabilités de chaque partie.
  • Pénalités contractuelles : en cas d’obstruction ou de dépassement des délais d’export, des pénalités financières rendent la clause opposable. Sans pénalités, la clause est symbolique.
  • Notification de sous-traitance : toute modification de la chaîne de sous-traitance doit être notifiée avec un délai de préavis suffisant pour permettre une décision éclairée.

Exigences techniques minimales

  • Chiffrement des données au repos avec clés gérées par le client (BYOK), séparées de l’infrastructure du fournisseur.
  • Séparation des environnements clients : aucune donnée partagée entre tenants.
  • Logs d’accès complets et traçabilité des opérations d’administration, conservés sur une durée définie contractuellement.
  • Preuves d’hébergement : rapports d’audit indépendants attestant la localisation physique des données, mis à jour au moins annuellement.

Conseil de pro : Formulez la clause de réversibilité en décrivant explicitement le format d’export, les responsabilités de chaque partie, les délais d’exécution et l’assistance au transfert, avec pénalités contractuelles en cas d’obstruction. Une clause vague sur « la possibilité de récupérer ses données » ne vous protège pas.

Pour les données de santé, la liste des hébergeurs certifiés HDS est publiée par l’Agence du numérique en santé et constitue le point de départ obligatoire pour tout projet dans ce secteur.

Comment un serveur privé managé répond aux critères de souveraineté : l’exemple Yundera

Pour les organisations qui n’ont pas les ressources d’une grande DSI mais qui ont les mêmes exigences de souveraineté, le modèle du serveur privé managé offre une alternative concrète aux offres IaaS complexes.

Yundera propose des serveurs privés hébergés en France, entièrement gérés, sans compétences techniques requises côté client. L’offre couvre les besoins courants d’une PME, d’une équipe projet ou d’un indépendant : stockage de fichiers, hébergement de sites, galerie photos, collaboration, gestion des mots de passe, VPN, et même déploiement d’IA locale, via un catalogue de plus de 100 applications open-source préinstallées.

Ce que l’offre garantit en termes de souveraineté

  • Hébergement en France — infrastructure physique localisée sur le territoire français, sans lien capitalistique avec des entités soumises au Cloud Act.

Cas d’usage opérationnels

  1. Stockage et partage de documents sensibles : une équipe juridique ou RH peut centraliser ses dossiers sur un serveur dédié, avec contrôle des accès par utilisateur, sans passer par un service cloud américain.
  2. Bibliothèque R&D : une équipe de recherche peut héberger ses données expérimentales et ses outils de collaboration sur une infrastructure dont elle contrôle l’accès et l’export.
  3. Gestion de contenus clients : un cabinet de conseil ou une agence peut proposer à ses clients un espace de partage sécurisé, hébergé en France, sans dépendre d’un service tiers.

Points d’attention et limites

  • Scalabilité : le modèle serveur privé managé est adapté aux volumes courants d’une PME ou d’une équipe. Pour des charges très importantes ou des pics de trafic imprévisibles, une architecture IaaS qualifiée reste plus adaptée.
  • Intégration SSO / annuaire : les besoins d’intégration avec un Active Directory ou un fournisseur d’identité existant méritent une vérification préalable avec l’équipe Yundera.
  • Obligations sectorielles spécifiques : pour les données de santé soumises à HDS ou les OIV, une qualification SecNumCloud reste la référence réglementaire. Yundera convient aux usages courants et aux données sensibles non soumises à ces obligations sectorielles spécifiques.

Pour les équipes qui évaluent un déploiement d’IA sur infrastructure souveraine, le guide de déploiement d’IA locale open source de Yundera détaille les options disponibles.

Comment se positionnent les fournisseurs français de cloud souverain ?

Le marché français se structure autour de plusieurs catégories d’acteurs, chacune répondant à des besoins différents. Nommer des fournisseurs concurrents n’est pas l’objet de cette section, mais comprendre les catégories vous aide à cadrer votre appel d’offres.

Les grandes catégories d’offres

Acteurs IaaS qualifiés SecNumCloud : ce sont les fournisseurs ayant obtenu ou en cours d’obtention de la qualification ANSSI. Ils ciblent principalement les administrations, les OIV et les grandes entreprises avec des exigences réglementaires élevées. Leurs offres sont robustes sur le plan de la conformité, mais leur complexité et leur coût les réservent aux projets d’envergure.

Hébergeurs certifiés HDS : spécialisés dans les données de santé, ils figurent sur la liste officielle de l’Agence du numérique en santé. La certification HDS est obligatoire pour tout hébergement de données de santé à caractère personnel en France.

Cloud interministériel : réservé aux administrations d’État, le cloud interne interministériel propose des offres comme Nubo, opérée par la DGFiP, reposant sur des technologies open source et hébergée dans les centres de production informatique de l’État.

Serveurs privés managés : destinés aux PME, indépendants et équipes projet, ils offrent un niveau de contrôle élevé sans la complexité d’une infrastructure IaaS. Yundera s’inscrit dans cette catégorie, avec un positionnement centré sur la simplicité d’adoption et la souveraineté des données.

Critères de différenciation à évaluer

Plutôt que de comparer des noms, évaluez chaque offre sur ces axes :

Critère Ce qu’il révèle
Qualification SecNumCloud Niveau d’audit et de conformité réglementaire
Gestion des clés (BYOK) Degré de contrôle réel sur les données
Procédure d’export documentée Maturité de la réversibilité
Localisation des équipes d’exploitation Immunité juridique effective
Modèle économique Risque de monétisation des données
Pile technologique (open source vs propriétaire) Risque de verrouillage

Pour les organisations qui souhaitent éviter les dépendances technologiques, le recours à des alternatives open-source aux outils collaboratifs propriétaires est une approche cohérente avec une stratégie de souveraineté.

Points clés

Le critère décisif pour un cloud souverain en France n’est pas la localisation du datacenter, mais la combinaison de l’immunité juridique, de la gestion des clés par le client et d’une réversibilité contractuellement opposable.

Point Détails
Immunité juridique avant tout Vérifiez la structure capitalistique : un datacenter français opéré par une filiale américaine reste exposé au Cloud Act.
SecNumCloud comme référence Le référentiel ANSSI couvre près de 300 exigences et environ 1 000 points de contrôle, c’est le filtre le plus fiable pour les données sensibles.
Réversibilité contractuelle Exigez un SLA d’export avec format standardisé, délais garantis et pénalités financières en cas d’obstruction.
Commencer par un POC Validez la procédure d’export et les performances sur des workloads non critiques avant de basculer les données sensibles.
Yundera pour les PME et équipes Serveur privé managé hébergé en France, export garanti, plus de 100 applications open-source, sans compétences techniques requises.

La réversibilité doit être votre critère numéro un

Beaucoup d’organisations françaises abordent le cloud souverain par le prisme de la localisation : « mes données sont en France, donc je suis protégé. » C’est une lecture incomplète, et parfois dangereuse.

La localisation physique est une condition nécessaire, pas suffisante. Ce qui compte vraiment, c’est votre capacité à partir. Un fournisseur qui héberge vos données en France mais qui vous les rend dans un format propriétaire, avec un délai de six mois et sans assistance, vous a enfermé aussi sûrement qu’un acteur américain. La souveraineté sans réversibilité, c’est une cage dorée.

La vraie question à poser à chaque fournisseur n’est pas « où sont mes données ? » mais « comment je les récupère, dans quel délai, dans quel format, et qui paie si ça ne se passe pas comme prévu ? » Un fournisseur qui répond à cette question avec précision et des pénalités contractuelles à la clé mérite votre confiance. Un fournisseur qui botte en touche sur ce point, quelle que soit la qualité de ses datacenters, représente un risque opérationnel réel.

Pour les décideurs, la priorité pratique est claire : avant de signer, testez la procédure d’export. Pas en théorie, pas sur une démo préparée, mais sur vos données réelles dans un environnement pilote. C’est le seul test qui compte.

Yundera : un serveur privé souverain, prêt à déployer sans compétences techniques

Vous avez cartographié vos besoins, posé les bonnes questions, et vous cherchez maintenant une option opérationnelle qui coche les cases de la souveraineté sans mobiliser une équipe infrastructure de dix personnes.

Yundera

Yundera propose exactement cela : un serveur privé hébergé en France, entièrement managé, avec export garanti de vos données à tout moment. Pas de collecte, pas de revente, pas de dépendance à un acteur soumis au Cloud Act. Plus de 100 applications open-source sont préinstallées, de la gestion de fichiers à la collaboration en passant par le stockage de photos, le VPN et l’IA locale, accessibles depuis un domaine personnalisé sans configuration technique.

Un ingénieur se charge de la mise en place et de la gestion d’un serveur privé clé en main.

Pour les PME et les équipes qui veulent la souveraineté sans la complexité, Yundera est une option directement déployable. Consultez la page dédiée aux startups et PME pour comprendre comment l’offre s’adapte à votre contexte, ou contactez l’équipe pour démarrer un POC sur vos workloads prioritaires.

Sources officielles et documents à conserver pour votre dossier décisionnel

Ces ressources constituent la base documentaire d’un dossier d’appel d’offres ou d’une note de cadrage interne sur le cloud souverain en France.

Recommandation

분류 Français
로그인 의견을 남기기